Samen sterker: hoe provincies zich kunnen wapenen tegen cyberdreigingen

Security­professionals en bestuurders binnen de publieke sector weten: één provincie kan veel, maar samen bereiken we meer. Hoe zorg je dat de informatiestroom niet alleen tijdens een crisis op gang komt, maar continu onderdeel is van je werkwijze? En hoe borg je dat bestuurders je genoeg vertrouwen (mandaat) geven om snel te handelen?

Als je liever luistert dan leest, hebben we een podcast voor je. In deze aflevering bespreken Gerard Slotboom (Security Architect bij Jarviss) en Hans Quist (CISO Provincie Zeeland) de opbouw van het interprovinciale informatie­knooppunt, hun realtime respons tijdens de DDoS-aanval en hun ervaringen met NIS2-meldingen.

Een betrouwbaar informatieknooppunt

Oorspronkelijk moesten provincies via Binnenlandse Zaken aan informatie zien te komen, met alle vertragingen van dien. Daarom is de werkwijze omgebogen naar een dagelijks contact met directe NCSC-feeds én wekelijkse ICEHEC-sessies. Tijdens die bijeenkomsten gaan telefoons uit en laptops dicht, zodat technici écht open kunnen delen wat er misging en hoe ze het oplosten. Zo ontstaat een cultuur waarin je elkaar altijd direct kunt helpen.

Direct reageren op DDoS-aanvallen

Op 28 april werd duidelijk hoe dit werkt in de praktijk: provincies en gemeentes lagen onder vuur door een gecoördineerde DDoS-aanval. Binnen een paar uur was er een app-groep live om te inventariseren wie er getroffen was, welke mitigatiescripts hielpen en welke signalen er waren over de dader. Dankzij die korte lijntjes bleven uitval en schade beperkt en waren de diensten nog dezelfde dag weer online.

Het belang van duidelijk mandaat

Technisch inzit is één ding, maar zonder bestuurlijke backing kom je niet ver. CISOs zijn continu bezig om dat mandaat naar zich toe te trekken en zien dat bestuurders dat tegenwoordig ook waarderen, bijvoorbeeld in het provinciaal overleg (Ipoh). Een CISO die weet dat de gedeputeerde achter hem staat, kan sneller beslissingen nemen wanneer elke seconde telt.

Voorzichtig in de cloud, vast in soevereiniteit

Veel provincies bleven lange tijd terughoudend met cloud, juist vanwege privacy- en wetgevingseisen. Zeeland nam pas vorig jaar Microsoft 365 in gebruik, terwijl de mailserver on-premise bleef draaien – een bewuste keuze om eigen datacenters aan te houden. Tegelijkertijd onderzoekt men open-source en Europese alternatieven, zodat innovatie niet ten koste gaat van digitale soevereiniteit.

Samen sterker met NIS2-meldingen

De NIS2-richtlijn verplicht formele melding van incidenten én samenwerking met ketenpartners. Provincie Zeeland deed recent haar eerste officiële melding via het NCSC, andere provincies stonden meteen klaar om kennis en templates te delen. Door wederzijdse audits en kant-en-klare documenten kun je als keten nog sneller op elke dreiging reageren.

Oefenen en plannen loont

“Blijf nuchter. Geniet van een crisis, want ook daar kun je voordeel mee doen.” raadt Hans Quist aan. Zorg dat je crisisplan niet alleen digitaal bestaat, maar ook op papier beschikbaar is, zodat je in elke situatie direct weet wat je moet doen. Wie regelmatig vol-scale scenario’s doorloopt, schakelt tijdens een écht incident moeiteloos over op zijn plan.

Samenwerking, mandaat en voorbereiding vormen de basis van een veerkrachtige provinciale cybersecurity. Wil je weten hoe jouw organisatie zo’n samenwerkingsverband structureel inricht en bestuurlijk verankert? Neem dan contact met ons op via info@jarviss.nl.